Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'NVIDIA Media Center Library' = '%HOMEPATH%\user1\winlogon.exe'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'NVIDIA Media Center Library' = '%HOMEPATH%\user1\winlogon.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\h3ojkih9lvfeffo0mg6hlxplglv3lyyuvhdarr3dtlhen80dniepqxqy2sziakx2axtns4sa044lspkbmnv9qm\s-4-7-01-4639107401-4494491267-104113574-7046\desktop.ini
- <Имя диска съемного носителя>:\h3ojkih9lvfeffo0mg6hlxplglv3lyyuvhdarr3dtlhen80dniepqxqy2sziakx2axtns4sa044lspkbmnv9qm\s-4-7-01-4639107401-4494491267-104113574-7046\o7mrvq31rdbhh9hfkj9v0gt5z3m2s...
- <Имя диска съемного носителя>:\h3ojkih9lvfeffo0mg6hlxplglv3lyyuvhdarr3dtlhen80dniepqxqy2sziakx2axtns4sa044lspkbmnv9qm\o7mrvq31rdbhh9hfkj9v0gt5z3m2s5hp0.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\user1\winlogon.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\h3ojkih9lvfeffo0mg6hlxplglv3lyyuvhdarr3dtlhen80dniepqxqy2sziakx2axtns4sa044lspkbmnv9qm\s-4-7-01-4639107401-4494491267-104113574-7046\desktop.ini
- <Имя диска съемного носителя>:\autorun.inf
Сетевая активность
Подключается к
- 'wh##.amung.us':80
- 'wi####s.amung.us':80
- 'l-##############################5-1-e-f-3-8-z-a-5-5-0-9-b-t-g-.0-0-0-0-0-0-0-0-0-0-0-0-0-47-0-0-0-0-0-0-0-0-0-0-0-0-0.info':80
TCP
Запросы HTTP GET
- http://wh##.amung.us/widget/l96f428it5mt/
- http://wi####s.amung.us/classic/00/1.png
- http://l-##############################5-1-e-f-3-8-z-a-5-5-0-9-b-t-g-.0-0-0-0-0-0-0-0-0-0-0-0-0-47-0-0-0-0-0-0-0-0-0-0-0-0-0.info/VERSION.TXT
UDP
- DNS ASK wh##.amung.us
- DNS ASK wi####s.amung.us
- DNS ASK 3-#############-r-y-7-g-b-3-8-9-8-4-l-j.cheaps1.info
- DNS ASK l-##############################5-1-e-f-3-8-z-a-5-5-0-9-b-t-g-.0-0-0-0-0-0-0-0-0-0-0-0-0-47-0-0-0-0-0-0-0-0-0-0-0-0-0.info
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'setup'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'IMWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%HOMEPATH%\user1\winlogon.exe'
- '%HOMEPATH%\user1\winlogon.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
